DOUE-L-2024-81791
Europeo
Unión Europea
Reglamento
20241128
2980/2024

Reglamento de Ejecución (UE) 2024/2980 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) nº 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las notificaciones a la Comisión relativas al ecosistema de la cartera europea de identidad digital.
Diario Oficial de la Unión Europea
20241204
2980
L
1
8
/doue/2024/2980/L00001-00008.pdf
L
20241224
N
N
N
L
https://data.europa.eu/eli/reg_impl/2024/2980/spa
Comercio electrónico
Comunicaciones electrónicas
Dinero electrónico
Firma electrónica
Mercado Común
Protección de datos personales
Registros telemáticos
Seguridad informática
DE CONFORMIDAD con
el Reglamento 910/2014, de 23 de julio
CITA
Directiva 2002/58, de 12 de julio
Comercio
Derecho Administrativo
Seguridad y Defensa
Tecnología e investigación
Telecomunicaciones
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (1), y, en particular, su artículo 5 bis, apartado 23,
Considerando lo siguiente:
(1) | El marco europeo de identidad digital establecido por el Reglamento (UE) n.o 910/2014 es un componente crucial para la creación de un ecosistema de identidad digital seguro e interoperable en toda la Unión. El objetivo de este marco, con las carteras europeas de identidad digital (en lo sucesivo, las «carteras») como piedra angular, es facilitar el acceso a los servicios en todos los Estados miembros, garantizando al mismo tiempo la protección de los datos personales y de la privacidad.
(2) | El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2), o el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (3), y, en su caso, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (4) se aplican a todas las actividades de tratamiento de datos personales en virtud del presente Reglamento.
(3) | El artículo 5 bis, apartado 23, del Reglamento (UE) n.o 910/2014 encomienda a la Comisión que, en caso necesario, establezca las especificaciones y los procedimientos pertinentes. Este mandato se lleva a cabo mediante cuatro Reglamentos de Ejecución, que tratan respectivamente de los protocolos y las interfaces: Reglamento de Ejecución (UE) 2024/2982 de la Comisión (5), la integridad y las funcionalidades básicas: Reglamento de Ejecución (UE) 2024/2979 de la Comisión (6), los datos de identificación de la persona y la declaración electrónica de atributos: Reglamento de Ejecución (UE) 2024/2977 de la Comisión (7), y las notificaciones a la Comisión: Reglamento de Ejecución (UE) 2024/2980 de la Comisión (8). El presente Reglamento establece los requisitos pertinentes aplicables a las notificaciones por los Estados miembros de las entidades de confianza que establecen la fiabilidad del marco europeo de identidad digital.
(4) | La Comisión evalúa periódicamente las nuevas tecnologías, prácticas, normas y especificaciones técnicas. Con el fin de garantizar el máximo nivel de armonización entre los Estados miembros para el desarrollo y la certificación de las carteras, las especificaciones técnicas establecidas en el presente Reglamento se basan en el trabajo realizado con arreglo a la Recomendación (UE) 2021/946 de la Comisión, de 3 de junio de 2021, sobre un conjunto de instrumentos común de la Unión para adoptar un enfoque coordinado de cara a un Marco para una Identidad Digital Europea (9), y en particular la arquitectura y el marco de referencia. De conformidad con el considerando 75 del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo (10), la Comisión debe revisar y, en caso necesario, actualizar el presente Reglamento de Ejecución, para mantenerlo en consonancia con la evolución mundial, la arquitectura y el marco de referencia, y seguir las mejores prácticas en el mercado interior.
(5) | A fin de cumplir el objetivo de establecer una fuente de información transparente y fiable para las entidades autenticadoras en el ecosistema de la cartera europea de identidad digital, como los proveedores de carteras, los proveedores de datos de identificación de la persona y las partes usuarias de la cartera, los Estados miembros deben notificar la información exigida al sistema electrónico proporcionado por la Comisión. En consonancia con el enfoque adoptado por la Decisión de Ejecución (UE) 2015/1984 (11) de la Comisión, por la que se definen las circunstancias, formatos y procedimientos de notificación con respecto a los sistemas de identificación electrónica aplicables a los medios de identificación electrónica, los Estados miembros deben facilitar la información a la Comisión en inglés. De este modo, las descripciones de los sistemas de identificación electrónica están disponibles en inglés para todos estos sistemas, con independencia de que se refieran a medios de identificación electrónica o a carteras.
(6) | Con el mismo objetivo de establecer fuentes de información que permitan la autenticación de las entidades en el ecosistema de la cartera europea de identidad digital, la Comisión debe establecer una infraestructura para poner la información a disposición del público de manera segura, legible por el ser humano, clara y fácilmente accesible, y en una forma firmada o sellada electrónicamente adecuada para el tratamiento automatizado, en particular ofreciendo una interfaz de programación de aplicaciones.
(7) (8) | El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 30 de septiembre de 2024. Las medidas previstas en el presente Reglamento se ajustan al dictamen del comité contemplado en el artículo 48 del Reglamento (UE) n. o 910/2014.
HA ADOPTADO EL PRESENTE REGLAMENTO:
Artículo 1
Objeto y ámbito de aplicación
El presente Reglamento establece obligaciones en relación con la notificación que permiten la validación de:
1) los registros electrónicos utilizados por un Estado miembro para publicar información sobre las partes usuarias de la cartera registradas en dicho Estado miembro de conformidad con el artículo 5 ter, apartado 5, del Reglamento (UE) n.o 910/2014 (en lo sucesivo, «registros de partes usuarias de la cartera»), la ubicación de los registros de partes usuarias de la cartera y la identificación de los registradores de partes usuarias de la cartera;
2) la identidad de las partes usuarias de la cartera registradas;
3) la autenticidad y la validez de las unidades de cartera;
4) la identificación de los proveedores de carteras;
5) la autenticidad de los datos de identificación de la persona;
6) la identificación de los proveedores de datos de identificación de la persona; que deben actualizarse periódicamente para mantenerlos en consonancia con la evolución de la tecnología y las normas y con el trabajo realizado sobre la base de la Recomendación (UE) 2021/946, y en particular la arquitectura y el marco de referencia.
Artículo 2
Definiciones
A los efectos del presente Reglamento, se entenderá por:
1) | «proveedor de cartera»: persona física o jurídica que proporciona soluciones de cartera;
2) | «proveedor de datos de identificación de la persona»: persona física o jurídica responsable de la expedición y la revocación de los datos de identificación de la persona y de garantizar que los datos de identificación de la persona de un usuario estén vinculados criptográficamente a una unidad de cartera;
3) | «parte usuaria de la cartera»: parte que tiene la intención de utilizar unidades de cartera para la prestación de servicios públicos o privados mediante interacción digital;
4) | «registro de partes usuarias de la cartera»: registro electrónico utilizado por un Estado miembro para poner a disposición del público la información sobre las partes usuarias de la cartera que están registradas en dicho Estado miembro, tal como se establece en el artículo 5 ter, apartado 5, del Reglamento (UE) n.o 910/2014;
5) | «registrador de partes usuarias de la cartera»: el organismo, designado por un Estado miembro, responsable de establecer y mantener la lista de las partes usuarias de la cartera registradas establecidas en su territorio;
6) | «unidad de cartera»: configuración única de una solución de cartera que incluye instancias de cartera, aplicaciones criptográficas seguras de cartera y dispositivos criptográficos seguros de cartera proporcionados por un proveedor de cartera a un usuario particular de una cartera;
7) | «solución de cartera»: combinación de software, hardware, servicios, ajustes y configuraciones, que incluye instancias de cartera, una o más aplicaciones criptográficas seguras de cartera y uno o más dispositivos criptográficos seguros de cartera;
8) | «instancia de cartera»: aplicación instalada y configurada en el dispositivo o el entorno de un usuario de una cartera, que forma parte de una unidad de cartera y que el usuario de la cartera utiliza para interactuar con la unidad de cartera;
9) | «aplicación criptográfica segura de cartera»: aplicación que gestiona activos críticos al estar vinculada a las funciones criptográficas y no criptográficas proporcionadas por el dispositivo criptográfico seguro de cartera y utilizarlas;
10) | «dispositivo criptográfico seguro de cartera»: dispositivo resistente a las manipulaciones fraudulentas que proporciona un entorno vinculado a la aplicación criptográfica segura de cartera y utilizado por esta para proteger activos críticos y proporcionar funciones criptográficas para la ejecución segura de operaciones críticas;
11) | «activos críticos»: activos contenidos en una unidad de cartera o relacionados con ella, de tan extraordinaria importancia que si su disponibilidad, confidencialidad o integridad se vieran comprometidas, el efecto sobre la capacidad para utilizar la unidad de cartera sería muy grave y debilitante;
12) | «usuario de una cartera»: usuario que tiene el control sobre la unidad de cartera;
13) | «proveedor de certificados de acceso de partes usuarias de la cartera»: persona física o jurídica a la que un Estado miembro ha encomendado expedir certificados de acceso de parte usuaria a las partes usuarias de la cartera registradas en ese Estado miembro;
14) | «certificado de acceso de partes usuarias de la cartera»: certificado para sellos o firmas electrónicos, expedido por un proveedor de certificados de acceso de partes usuarias de la cartera, que autentica y valida a la parte usuaria de la cartera.
Artículo 3
Sistema de notificación
1. La Comisión pondrá a disposición de los Estados miembros un sistema de notificación electrónica seguro, a más tardar doce meses después de la publicación del presente Reglamento en el Diario Oficial de la Unión Europea, que permita a los Estados miembros notificar la información sobre los organismos y mecanismos a que se refiere el artículo 5 bis, apartado 18, del Reglamento (UE) n.o 910/2014.
2. El sistema de notificación electrónica seguro deberá cumplir los requisitos técnicos establecidos en el anexo I.
Artículo 4
Notificación por los Estados miembros
1. Los Estados miembros presentarán, a través del sistema de notificación electrónica seguro a que se refiere el artículo 3, apartado 1, al menos la información especificada en el anexo II.
2. Los Estados miembros efectuarán las notificaciones al menos en inglés. Los Estados miembros no estarán obligados a traducir ningún documento justificativo de las notificaciones cuando esto suponga una carga administrativa o financiera excesiva.
3. La Comisión podrá solicitar información o aclaraciones adicionales a los Estados miembros con el fin de verificar la completitud y la coherencia de la información notificada.
Artículo 5
Publicaciones de la Comisión
1. La Comisión establecerá, mantendrá y publicará una lista en la que se recopilará la información notificada por los Estados miembros sobre los registradores de partes usuarias de la cartera y los registros de dichas partes a que se refiere el anexo II, sección 1.
2. La Comisión establecerá, mantendrá y publicará una lista en la que se recopilará la información notificada por los Estados miembros sobre los proveedores de carteras, los proveedores de datos de identificación de la persona y los proveedores de certificados de acceso de partes usuarias de la cartera a que se refieren las secciones 2, 3 y 4 del anexo II.
3. La Comisión se asegurará de que se pueda acceder a las listas mencionadas en los apartados 1 y 2 del presente artículo:
a) en forma tanto firmada como sellada electrónicamente adecuada para el tratamiento automatizado y a través de un sitio web legible por el ser humano y disponible, como mínimo, en inglés;
b) sin necesidad de registrarse o autenticarse para obtener o leer las listas;
c) de forma segura, utilizando cifrado de la capa de transporte de última generación.
4. Además de la publicación de las listas a que se refieren los apartados 1 y 2, la Comisión publicará:
a) las especificaciones técnicas aplicadas por la Comisión a la estructura de las listas;
b) la información relativa a la URL en la que se publican las listas;
c) los certificados que van a utilizarse para verificar la firma o el sello sobre las listas;
d) los datos de los mecanismos utilizados para validar los cambios en la localización a que se refiere la letra (b) o en los certificados a que se refiere la letra (c).
Artículo 6
Entrada en vigor
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
Hecho en Bruselas, el 28 de noviembre de 2024.
Por la Comisión
La Presidenta
Ursula VON DER LEYEN
(1) DO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
(2) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(3) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(4) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
(5) Reglamento de Ejecución (UE) 2024/2982 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los protocolos y las interfaces que admitirá el marco europeo de identidad digital (DO L, 2024/2982, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2982/oj).
(6) Reglamento de Ejecución (UE) 2024/2979 de la Comisión, de 28 de noviembre de 2024 por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la integridad y las funcionalidades básicas de las carteras europeas de identidad digital (DO L, 2024/2979, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2979/oj).
(7) Reglamento de Ejecución (UE) 2024/2977 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los datos de identificación de la persona y las declaraciones electrónicas de atributos expedidos a carteras europeas de identidad digital (DO L, 2024/2977, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2977/oj).
(8) Reglamento de Ejecución (UE) 2024/2980 de la Comisión, de 28 de noviembre de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las notificaciones a la Comisión relativas al ecosistema de la cartera europea de identidad digital (DO L, 2024/2980, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2980/oj).
(9) DO L 210 de 14.6.2021, p. 51, ELI: http://data.europa.eu/eli/reco/2021/946/oj.
(10) Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, por el que se modifica el Reglamento (UE) n.o 910/2014 en lo que respecta al establecimiento del marco europeo de identidad digital (DO L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).
(11) Decisión de Ejecución (UE) 2015/1984 de la Comisión, de 3 de noviembre de 2015, por la que se definen las circunstancias, formatos y procedimientos de notificación con arreglo al artículo 9, apartado 5, del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (DO L 289 de 5.11.2015, p. 18, ELI: http://data.europa.eu/eli/dec_impl/2015/1984/oj).
ANEXO I
REQUISITOS PARA EL SISTEMA DE NOTIFICACIONES DE LA COMISIÓN
1. La interfaz del sistema de notificaciones electrónicas seguro estará, como mínimo, en inglés.
2. El sistema de notificaciones electrónicas seguro facilitado por la Comisión estará diseñado para:
a) | permitir a los Estados miembros presentar la misma información una sola vez, reutilizando, en su caso, información presentada anteriormente;
b) | permitir que la información se presente a través de interfaces procesables por máquina e interfaces utilizables por personas;
c) | admitir unos controles de acceso y una gestión del control de acceso adecuados, delegando en los Estados miembros la facultad de conceder acceso a los representantes competentes en lo que respecta a las notificaciones;
d) | admitir las notificaciones de la información especificada en el anexo II;
e) | permitir que los Estados miembros vean la información notificada;
f) | acusar recibo de las notificaciones de información por medios electrónicos;
g) | conservar y permitir que los Estados miembros vean un registro histórico de todo cambio en la información notificada.
ANEXO II
REQUISITOS PARA LAS NOTIFICACIONES DE LOS ESTADOS MIEMBROS
1. Notificaciones de información sobre registradores y registros
1) Los Estados miembros facilitarán a la Comisión la siguiente información sobre sus registradores y registros:
a) | el nombre del registro;
b) | al menos una URL, que utilizará cifrado de la capa de transporte de última generación, que dé acceso al registro;
c) | el nombre del registrador responsable de ese registro;
d) | en su caso, el número de registro del registrador;
e) | el Estado miembro en el que el registrador está establecido;
f) | la dirección de correo electrónico de contacto y el número de teléfono de contacto del registrador, para las cuestiones relacionadas con el registro;
g) | cuando proceda, la URL de una página web en la que obtener más información sobre el registrador y el registro;
h) | la URL de la página web en la que se encuentra la política de registro aplicable y la información conexa;
i) | uno o más certificados que cumplan el estándar RFC 3647 del IETF que puedan utilizarse para verificar la firma o el sello creados por el registrador sobre los datos del registro y en los que entre los datos de identidad certificados figuren el nombre del registrador y, cuando proceda, su número de registro, según lo establecido en las letras (c) y (d), respectivamente.
2) La información a que se refiere el punto(1)se facilitará por registro y registrador.
2. Notificaciones de información sobre los proveedores de carteras y sobre los mecanismos para validar la autenticidad y la validez de las unidades de cartera
1) Los Estados miembros facilitarán a la Comisión la siguiente información sobre los proveedores de carteras:
a) | el nombre del proveedor de cartera;
b) | en su caso, el número de registro del proveedor de cartera;
c) | en su caso, el nombre del organismo responsable de que se proporcione la solución de cartera;
d) | el Estado miembro en el que el proveedor de cartera está establecido;
e) | la dirección de correo electrónico de contacto y el número de teléfono de contacto del proveedor de cartera, para las cuestiones relacionadas con las soluciones de cartera que proporciona;
f) | cuando proceda, la URL de la página web en la que obtener más información sobre el proveedor de cartera y la solución de cartera;
g) | la URL de la página web en la que se encuentran las políticas y las condiciones que el proveedor de cartera aplica al suministro y la utilización de la solución de cartera que proporciona;
h) | uno o más certificados que cumplan el estándar RFC 3647 del IETF que puedan utilizarse para autenticar y validar los componentes de la unidad de cartera que la cartera proporciona, y en los que entre los datos de identidad certificados figuren el nombre y, cuando proceda, el número de registro del proveedor de cartera, según lo especificado en las letras a) y b), respectivamente;
i) | para cada solución de cartera proporcionada por el proveedor de la cartera, el nombre y el número de referencia de la solución de cartera que proporciona, ya que la Comisión publicará esta información en el Diario Oficial de la Unión Europea de conformidad con el artículo 5 quinquies del Reglamento (UE) n.o 910/2014.
2) La información a que se refiere el punto(1)se facilitará por proveedor.
3. Notificaciones de información sobre los proveedores de datos de identificación de la persona y sobre los mecanismos que permiten la autenticación y la validación de los datos de identificación de la persona
1) Los Estados miembros facilitarán a la Comisión la siguiente información sobre los proveedores de datos de identificación de la persona:
a) | el nombre del proveedor de datos de identificación de la persona;
b) | en su caso, un número de registro del proveedor de datos de identificación de la persona;
c) | cuando proceda, el nombre del organismo responsable de garantizar que los datos de identificación de la persona estén asociados a la unidad de cartera;
d) | el Estado miembro en el que el proveedor de datos de identificación de la persona está establecido;
e) | la dirección de correo electrónico de contacto y el número de teléfono de contacto del proveedor de datos de identificación de la persona, para las cuestiones relacionadas con los datos de identificación de la persona que proporciona;
f) | cuando proceda, la URL de la página web que contenga información adicional sobre el proveedor de datos de identificación de la persona;
g) | la URL de la página web que contenga las políticas y las condiciones que el proveedor de datos de identificación de la persona aplica al suministro y la utilización de los datos de identificación de la persona que proporciona;
h) | uno o más certificados que cumplan el estándar RFC 3647 del IEFT que puedan utilizarse para verificar la firma o el sello creados por el proveedor de datos de identificación de la persona sobre los datos de identificación de la persona que proporciona, y en los que entre los datos de identidad certificados figuren el nombre y, cuando proceda, el número de registro del proveedor de datos de identificación de la persona, según lo especificado en las letras (a) y (b), respectivamente.
2) La información a que se refiere el punto 1) se facilitará por proveedor.
4. Notificaciones de información sobre los proveedores de certificados de acceso de partes usuarias de la cartera
1) Los Estados miembros facilitarán a la Comisión la siguiente información sobre los proveedores de certificados de acceso de partes usuarias de la cartera:
a) | el nombre del proveedor de certificados de acceso de partes usuarias de la cartera;
b) | cuando proceda, un número de registro del proveedor de certificados de acceso de partes usuarias de la cartera;
c) | el Estado miembro en el que esté establecido el proveedor de certificados de acceso de partes usuarias de la cartera;
d) | el correo electrónico de contacto y el número de teléfono de contacto del proveedor de certificados de acceso de partes usuarias de la cartera, para las cuestiones relacionadas con los certificados de acceso que proporciona a dichas partes;
e) | cuando proceda, la URL de la página web del proveedor de certificados de acceso de partes usuarias de la cartera que contenga información adicional sobre el proveedor y los certificados de acceso que proporciona a las partes usuarias de la cartera;
f) | la URL de la página web que contenga las políticas y condiciones aplicables al suministro y a la utilización de los certificados de acceso que proporciona a las partes usuarias de la cartera;
g) | uno o más certificados que cumplan el estándar RFC 3647 del IEFT que puedan utilizarse para verificar la firma o el sello creados por el proveedor de certificados de acceso de partes usuarias de la cartera sobre el certificado de acceso que proporciona a las partes usuarias de la cartera, acompañados, cuando proceda, de la información necesaria para distinguir los certificados de acceso de partes usuarias de la cartera de otros certificados.
2) La información a que se refiere el punto (1) se facilitará por proveedor de certificados de acceso de partes usuarias de la cartera.